location ~ ^/sites/[^/]+/files/.*\.php$ {
deny all;
error_page 404 /index.php;
return 404;
}

location ~ \..*/.*\.php$ {
error_page 404 /index.php ;
return 404;
}

как-то так